PHP-Schwächen führen zu vorsorglichen Abschaltungen von Regierungswebsites weltweit
Regierungswebsites und andere öffentlich zugängliche Online-Dienste wurden am 21. und 22. Oktober in mehreren Ländern offline genommen, während Betreiber auf zwei kritische Sicherheitsanfälligkeiten in PHP reagierten, einer Programmiersprache, die zur Ausführung vieler Websites verwendet wird. Die Unterbrechungen betrafen den Zugriff auf öffentliche Informationen und Teile der Online-Dienste einiger Organisationen, während technische Teams an Sicherheitsaktualisierungen arbeiteten.
Die Abschaltungen wurden weitgehend als Vorsichtsmaßnahmen beschrieben. Eine nicht verfügbare Website in diesem Vorfall ist nicht allein ein Beweis dafür, dass Hacker in ihre Systeme eingedrungen sind. Einige Betreiber erklärten ausdrücklich, dass sie keine Ausnutzung festgestellt hatten oder dass ein Datenleck nicht die Ursache der Unterbrechung war.
Öffentliche Dienste und andere Websites offline genommen
Der Bericht von Reuters vom 22. Oktober dokumentierte die vorbeugenden Deaktivierungen von Websites durch den IT-Dienstleister der Bundesregierung Deutschlands, ITZBund, sowie die vorübergehende Abschaltung französischer Präfekturwebsites. Das digitale Ministerium Deutschlands erklärte, es seien keine Sicherheitsvorfälle bekannt geworden. In Finnland stellte das staatliche IT-Zentrum Valtori die öffentlichen Webdienste der Regierung vorsorglich ein und erklärte, es habe keine Versuche zur Ausnutzung der Schwächen identifiziert.
Der gleiche Bericht beschrieb teilweise Unterbrechungen von Online-Diensten bei japanischen Behörden sowie mehreren Finanz- und Transportunternehmen. Dies waren Aussetzungen bestimmter Internetdienste und keine Bestätigung, dass jede Funktion dieser Organisationen eingestellt wurde. Reuters berichtete auch, dass das Internet Archive nach Notwartungsarbeiten und Sicherheitsupdates wieder online gegangen sei. Leser können diesen Dienst separat auf SID’s Internet Archive-Seite verfolgen; seine Wiederherstellung bestätigt nicht, dass jede betroffene Website wiedereröffnet wurde.
Die unabhängig verfasste Berichterstattung von The Guardian berichtete von der Abschaltung von Regierungswebsites in mehreren europäischen Ländern, einschließlich Websites, die mit dem niederländischen Parlament und dem nationalen Cyber-Sicherheitszentrum verbunden sind. Es wurde auch berichtet, dass die Wikimedia Foundation mehrere Systeme offline genommen hatte, bis sie gepatcht werden konnten. Dies ist eine Erklärung über ausgewählte Systeme, nicht eine bestätigte weltweite Abschaltung des gesamten Wikipedia-Dienstes.
Fixes verfügbar, aber Wiederherstellung bleibt standortspezifisch
Die BBC berichtete, dass am Mittwochnachmittag ein Fix veröffentlicht wurde und mehrere Cyber-Sicherheitsagenturen Organisationen, die ihn nicht schnell anwenden konnten, dringend rieten, ihre Websites offline zu nehmen. Ihre Berichterstattung unterschied auch bestätigte vorsorgliche Abschaltungen von Websites, die als nicht zugänglich beobachtet wurden, deren Betreiber jedoch noch nicht bestätigt hatten, dass es einen Zusammenhang mit PHP gab. Diese Unterscheidung ist wichtig, wenn es darum geht, zu beurteilen, wie weitreichend der Vorfall den Online-Zugriff betroffen hat.
Die offizielle Sicherheitswarnung von CERT-EU identifiziert zwei Verwundbarkeiten, die es einem nicht authentifizierten Angreifer ermöglichen könnten, Code auf einem betroffenen System auszuführen. Sie dokumentiert Lösungen für unterstützte PHP-Veröffentlichungszweige und rät dazu, eine Isolation von öffentlichen Netzwerken in Betracht zu ziehen, wo eine sofortige Patch-Anwendung nicht möglich ist. Die Veröffentlichungsankündigungen des PHP-Projekts bestätigen, dass am 21. Oktober Sicherheitsupdates veröffentlicht wurden. Diese Bekanntmachungen stellen die Verfügbarkeit von Lösungen fest, nicht den Abschluss der Wiederherstellungsarbeiten jedes Betreibers.
Die für diesen Artikel überprüften Berichte geben keine einheitliche Wiederherstellungszeit für alle betroffenen Websites an. Entscheidungen zur Wiedereröffnung hängen von den einzelnen Betreibern ab, die Updates anwenden und ihre Systeme überprüfen. Hier wird keine verifizierte Gesamtzahl kompromittierter Organisationen oder betroffener Benutzer festgestellt, und dieser Bericht behandelt Schätzungen zur Popularität von PHP nicht als Zählung der Websites, die offline gegangen sind.
Für Leser, die die Unterbrechungen verfolgen, bietet Status Is Down’s Echtzeitansicht und Nachrichtenarchiv Plätze, um Serviceberichte und unabhängig beschaffte Ausfallberichterstattung zu verfolgen. Website-Besitzer, die die Überwachungsdienste von SID wünschen, können Pläne vergleichen und sich anmelden. Die Überwachungsverfügbarkeit ist unabhängig von der Anwendung eines Sicherheitsfixes: Eine wiederhergestellte öffentliche Seite und ein gepatchtes zugrunde liegendes System sind unterschiedliche Ansprüche, und jeder erfordert seine eigenen Beweise.
Bildnachweis: ID 47491094 © Maciek905 | Dreamstime.com